SHA-1 ha sido examinado muy de cerca por la comunidad criptográfica pública, y no se ha encontrado ningún ataque efectivo. No obstante, en el año 2004, un número de ataques significativos fueron divulgados sobre funciones criptográficas de hash con una estructura similar a SHA-1; lo que ha planteado dudas sobre la seguridad a largo plazo de SHA-1.
SHA-0 y SHA-1 producen una salida resumen de 160 bits (20 bytes) de un mensaje que puede tener un tamaño máximo de 264 bits, y se basa en principios similares a los usados por el profesor Ronald L. Rivest del MIT en el diseño de los algoritmos de resumen de mensaje MD4 y MD5.
(Fuente Wikipedia)
Desde la publicación de la distribución 16.04 LTS, el soporte para SHA-1 en el comando apt esta discontinuado. Así pues, obtenemos este mensaje de advertencia:
W: http://dl.google.com/linux/chrome/deb/dists/stable/Release.gpg: Signature by key 4CCA1EAF950CEE4AB83976DCA040830F7FAC5991 uses weak digest algorithm (SHA1)
No es nada que podamos hacer más que esperar que los encargados del repositorio den una nueva clave con un algoritmo compatible. Tampoco es muy alarmante dado que de momento es un simple 'warning' (pese a que resulta molesto). No existe ningún parámetro en apt tipo --sha1 . Así que simplemente nos queda esperar que se actualicen los repositorios (los oficiales ya estan actualizados).
Más información
- https://bugs.chromium.org/p/chromium/issues/detail?id=596074
- https://lists.debian.org/deity/2016/03/msg00197.html
- http://askubuntu.com/questions/760796/how-to-fix-apt-signature-by-key-uses-weak-digest-algorithm-sha1-after-install
- https://www.symantec.com/en/uk/page.jsp?id=sha2-transition
No hay comentarios:
Publicar un comentario